[resolu]VPN site à site

[testeur290306]

bonjour,

après de multiples posts, je ne trouve pas de solutions.

j'ai mis en place un vpn 3 sites, 2 sites se connectent sur un troisième derrière lequel se trouve un serveur tse.

tous ça sous ipcop 1.4.10 et vpn à base de certificats.

grâce au vpn tous les tranferts de ports sont normalement inutile, on accède directement aux ressources des différents lans.

les réponses des membres du forum m'ont aidé, j'ai testé les pings entre les différents lans dans les deux sens.

ils répondent, l'analyse des trames réseau sont concluantes, les routes empruntées aussi,ainsi que les tables de routages, les passerelles.
mais si je supprime le transfert de ports sur le site ou se trouve le tse, plus d'accès.

et le vpn devrais interdire tous les postes ne faisant pas partis des lans à se connecter.
mais c'est pas le cas, depuis un poste extérieur ça fonctionne.


je vois vraiment pas ou chercher l'erreur, j'ai des logs un peu bizzare avec des failed quand je fais ipsec verify au niveau de Checking NAT and MASQUERADING
et dans les logs ipsec error asynchronous...

je devrais peut être tous "casser" et recréer mes certificats, mes connections vpns bien quelles sont ouvertes?

si quelqu'un peut m'aider

MERCI

[Franck78]

Pourquoi tu ne continues pas avec le topic qui t'as aidé

et le vpn devrais interdire tous les postes ne faisant pas partis des lans à se connecter.
mais c'est pas le cas, depuis un poste extérieur ça fonctionne.

Première nouvelle. Un tube est un tube. En entre pas dans le tube, c'est clair. Par contre aux extrémités, il n'y a rien de particulier.

Si tes VPN montent bien, je vois pas en quoi 'refaire des certificats' changera quoi que se soit.

[jdh]

Comme je l'ai déjà dit

- il n'y a aucun besoin de transferts de ports (c'est une confusion),
- comprendre le routage (avec 2 sorties vers Internet),
- commence avec un seul vpn,
- ping réciproque entre 2 PC des 2 côtés du vpn, jusqu'à ce que ca fonctionne,
- ajoute le 2me vpn.

Je ne pense pas, comme Franck78, que refaire des certificats change quoi que ce soit.

[testeur290306]

bonjour,

j'ai poster un nouveau car j'avais pas de réponse sur l'ancien post.

quand j'ai marqué : le vpn devrais interdire tous les postes ne faisant pas partis des lans à se connecter.

c'est que si je fais aucun transferts de ports, ni accès externes j'avais cru comprendre que personnes d'extérieur(autres que les lans) pouvais se connecter.
il n'y aurai que les lans distant via le vpn.
et je voudrais que personne de l'extérieur puisse "passer" l'ipcop.
mais là avec le transferts de ports tout le monde peut.

depuis vos réponses je fais des tests que sur 2 sites.

les passerelles sont bonnes.
depuis le lan1, pc1 je pingue bien le lan2, pc2,et inversement les routes sont bonnes et le vpn est bien monté
les tracert passent directement de passerelle à passerelle.

mais quand j'enlève la règle de transert de ports qui est inutile, plus rien.

si je veux accèder à une ressource d'un lan distant je dois pouvoir depuis un autre lan?
je pense, le vpn sert en parti à ça

[jdh]

Encore une fois pas mal d'incompréhension des phénomenes réseaux :

- un vpn est SEULEMENT un tuyau entre 2 réseaux (lequel tuyau est crypté et traverse Internet),
- un pc d'un côté d'un vpn peut accéder TOTALEMENT à un autre pc de l'autre côté (pour autant que chacun sait comment accéder à l'autre, c'est à dire que les routes le permettent),
- le transfert de ports est par conséquence, TOTALEMENT inutile.

Bien sur on peut aussi définir des règles limitant le traffic traversant le vpn.

Il me semble clair, dans ton cas, que
- soit le vpn n'est pas correctement monté (c'est pourquoi je dis de commencer par 1 vpn ... et donc de supprimer l'autre)
- soit le routage n'est pas bon.

Le deuxième point me semble tout à fait évident.

Vu que tu ne fournis AUCUN élément précis (adressage réseau, machine, table de routage, ....), je ne pense pas que tu obtiendras plus de réponse à un nouveau fil.


Eléments nécessaires :

réseau 1: adressage réseau, ip des différents serveurs, table de routage des différents serveurs (route print ou iproute), table de routage de simple pc (route print),

idem pour réseau 2 et 3.


En tous cas, pour moi ça suffit ... sans éléments précis.

[testeur290306]

mes config réseau sont dans le post pb connexion vpn

rappel :

lan1(10.71.6.0 masque 255.255.255.0)

avec serveur tse, passerelle par défaut des postes 10.71.6.35 (green ipcop)

tse 10.71.6.110
pc test1 10.71.6.209


table de rouatge pc test1
Itinéraires actifs :
Destination réseau -- Masque réseau -- Adr. passerelle -- Adr. interface -- Métrique
0.0.0.0 -- 0.0.0.0 -- 10.71.6.35 -- 10.71.6.209 -- 1
10.71.6.0 -- 255.255.255.0 -- 10.71.6.209 -- 10.71.6.209 -- 1
10.71.6.209 -- 255.255.255.255 -- 127.0.0.1 -- 127.0.0.1 -- 1
10.255.255.255 -- 255.255.255.255 -- 10.71.6.209 -- 10.71.6.209 -- 1
127.0.0.0 -- 255.0.0.0 -- 127.0.0.1 -- 127.0.0.1 -- 1
224.0.0.0 -- 224.0.0.0 -- 10.71.6.209 -- 10.71.6.209 -- 1
255.255.255.255 255.255.255.255 -- 10.71.6.209 -- 10.71.6.209 -- 1
Passerelle par défaut : 10.71.6.35


ipcop côté lan1 tse
Kernel IP routing table
Destination -- Gateway -- Genmask -- Flags -- Metric --Ref -- Use -- Iface
193.253.160.3 -- 0.0.0.0 -- 255.255.255.255 -UH -- 0 -- 0 -- 0 -- ppp0
193.253.160.3 -- 0.0.0.0 -- 255.255.255.255 -- UH -- 0 -- 0 -- 0 -- ipsec0
192.168.71.0 -- 193.253.160.3 -- 255.255.255.0 -- UG -- 0 -- 0 -- 0 -- ipsec0
192.168.0.0 -- 193.253.160.3 -- 255.255.255.0 -- UG -- 0 -- 0 -- 0 -- ipsec0
1.1.1.0 -- 0.0.0.0 -- 255.255.255.0 -- U 0 -- 0 -- 0 -- eth1
10.71.6.0 -- 0.0.0.0 -- 255.255.255.0 -- U 0 -- 0 -- 0 -- eth0
0.0.0.0 -- 193.253.160.3 -- 0.0.0.0 -- UG 0 -- 0 -- 0 -- ppp0


site distant lan2 (192.168.71.0 masque 255.255.255.0)
passerelle par défaut 192.168.71.2
ipcop
Kernel IP routing table
Destination -- Gateway -- Genmask -- Flags --Metric --Ref -- Use Iface
193.253.160.3 -- 0.0.0.0 -- 255.255.255.255 --UH -- 0 -- 0 0 --ppp0
193.253.160.3 -- 0.0.0.0 -- 255.255.255.255 --UH -- 0 -- 0 0-- ipsec0
192.168.71.0 -- 0.0.0.0 -- 255.255.255.0 -- U -- 0 -- 0 0 --eth0
1.1.1.0 -- 0.0.0.0 -- 255.255.255.0 -- U -- 0 -- 0 -- 0 --eth1
10.71.6.0 -- 193.253.160.3 -- 255.255.255.0 -- UG -- 0 -- 0 -- 0-- ipsec0
0.0.0.0 -- 193.253.160.3 -- 0.0.0.0 -- UG -- 0 -- 0 -- 0 --ppp0


pour le pc test2 du site distant je suis pas devant mais c'est la même que pc test1 pour la table de routage sauf que la passerelle pour le 0.0.0.0 est 192.168.71.2

je pense pas au routage, tu me diras ce que tu en pense mais c'est les mêmes routes sauf les adresses des lans qui changent.

j'ai mis -- pour que ça soit lisible
Merci de ta réponse

[jdh]

Si j'ai bien compris :

Lan1 (10.71.6.0/255.255.255.0 passerelle 10.71.6.35) :

- ipcop1 : 10.71.6.35 (qui fait aussi vpn)
- tse : 10.71.6.110
- pc1 : 10.71.6.209

Lan 2 (192.168.71.0/255.255.255.0 passerelle 192.168.71.2) :

- ipcop2 : 192.168.71.2 (qui fait aussi vpn)
- pc2 : 192.168.71.?


Est ce que c'est bien cela ? Quid de la "deuxième" sortie du Lan1 ?

[testeur290306]

pc2

192.168.71.223

c'est bien ça pour le reste.

deuxième sortie lan 1 10.71.6.3

mais ça va pas t'aidé je pense


normalement le tse je mets l'ip du lan 10.71.6.110 pour me connecter?

et plus l'ip publique de l'ipcop

pour que ça marche, comme pour le moment je dois mettre l'ip publique de l'ipcop1 sur les bureau à distance des sites distants.

pour résumé, actuellement les pc des sites distants se connectent sur l'ip publique de l'ipcop 1 qui redirige via le transfert de port vers le 10.71.6.110.

alors qu'avec le vpn je devrais pouvoir directement me connecter depuis un site distant sur le serveur 10.71.6.110.

tu as une idée?

[jdh]

Ce qu'il faut comprendre c'est que sur le Lan1 on a :

Lan1 (10.71.6.0/255.255.255.0 passerelle 10.71.6.35) :

- ipcop1 : 10.71.6.35 (qui fait aussi vpn)
- tse : 10.71.6.110
- pc1 : 10.71.6.209
- ipcop3 : 10.71.6.3 : deuxieme sortie

Il me parait utile que la deuxieme sortie (ipcop3=10.71.6.3) dispose d'une route

route add -net 192.168.71.0 netmask 255.255.255.0 gw 10.71.6.35

Cela garanti que même les PC ayant comme passerelle ipcop3, ils puissent avoir accès à Lan2.

Comme cela, les routes sont correctes.

Il reste les VPN.

[testeur290306]

OK
mais la deuxième sortie c'est pas un ipcop et cela ne me dérange pas
je fais les tests avec des pc qui ont l'ipcop1 en passerelle.

sinon je rajoute la route, tu as raison

mais le problème c'est dès que j'enlève le transfert de ports sur ipcop1, plus d'accès.
ça bloque pour moi à l'ipcop1.

les pings et tous le reste fonctionne.

les vpn sont ouverts sur les ipcops mais dans les logs j'ai des choses comme ça que j'avais pas les premiers temps que j'ai mis en place le vpn :

00:00:12pluto[19404]ERROR: asynchronous network error report on ppp0 for message to X.X.X.X port 500, complainant X.X.X.X: Connection refused [errno 111, origin ICMP type 3 code 3 (not authenticated)]

et quand je fais un ipsec verify sur ipcop1 j'ai ça :

ipsec verify
Checking your system to see if IPsec got installed and started correctly
Version check and ipsec on-path [OK]
Checking for KLIPS support in kernel [OK]
Checking for RSA private key (/etc/ipsec.secrets) ipsec showhostkey: no default key in "/etc/ipsec.secrets"
[FAILED]
Checking that pluto is running [OK]
DNS checks.
Looking for forward key for ipcopniepce.gretadomain [NO KEY]
Does the machine have at least one non-private address [OK]
Two or more interfaces found, checking IP forwarding [OK]
Checking NAT and MASQUERADING
tun0x1008@X.X.X.X:0 [FAILED]
REDNAT from 0.0.0.0/0 to 0.0.0.0/0 kills tunnel 10.71.6.0/24:0 -> 192.168.0.0/24:0
tun0x1007@X.X.X.X:0 [FAILED]
REDNAT from 0.0.0.0/0 to 0.0.0.0/0 kills tunnel 10.71.6.0/24:0 -> 192.168.71.0/24:0


je pense que la solution est peut être dû à ces erreurs mais je trouve personne, ou rien sur le net pouvant m'aider.
a part que pour la première erreur, j'ai trouver que c'était renvoyé quand le vpn est mal configuré ou quand il n'y a pas de traffic ipsec

tu en penses quoi?

MERCI

[jdh]

Le routage, qui me semblait tout à fait évident, étant résolu, déormais c'est le VPN qui est à revoir.

Donc, tu supprimes tous les réglages vpn et tu recommences depuis le DEBUT. Bien sur d'abord 1 vpn. Le test se fait d'abord par ping ensuite un test applicatif (tse). Pour finir tu ajoutes l'autre vpn.

Il y a sur ce site sufisamment de how-to pour y arriver. Pour moi c'est terminé.

BIEN EVIDEMMENT pas de transfert de port.

[testeur290306]

OK merci
c'est ce que je pensais faire

refaire le vpn en dernier recours